Pseudonimización

La pseudonimización es un procedimiento de gestión y anonimización de datos mediante el cual los campos de información de identificación personal dentro de un registro de datos se reemplazan por uno o más identificadores artificiales o seudónimos . ^{[ 1 ]} Un único seudónimo para cada campo reemplazado o conjunto de campos reemplazados hace que el registro de datos sea menos identificable, al tiempo que sigue siendo adecuado para el análisis y el procesamiento de datos .

La pseudonimización (o seudonimización, la ortografía según las directrices europeas) es una forma de cumplir con las exigencias del Reglamento General de Protección de Datos (RGPD) de la Unión Europea en materia de almacenamiento seguro de datos personales. ^{[ 2 ]} Los datos pseudonimizados pueden recuperarse añadiendo información que permita la reidentificación de las personas. Por el contrario, la anonimización tiene como objetivo impedir la reidentificación de las personas dentro del conjunto de datos. La cláusula 18, módulo cuatro, nota al pie 2 de la Adopción por la Comisión Europea de las Decisiones de Ejecución (UE) 2021/914 «exige que los datos se anonimicen de tal manera que la persona ya no pueda ser identificada por nadie... y que este proceso sea irreversible». ^{[ 3 ]}

El Supervisor Europeo de Protección de Datos (SEPD) destacó el 9 de diciembre de 2021 la seudonimización como la principal medida técnica complementaria para el cumplimiento de la sentencia Schrems II. ^{[ 4 ]} Menos de dos semanas después, la Comisión Europea destacó la seudonimización como un elemento esencial de la decisión de equivalencia para Corea del Sur, estatus que Estados Unidos perdió tras la sentencia Schrems II del Tribunal de Justicia de la Unión Europea (TJUE). ^{[ 5 ]}

La importancia de la pseudonimización conforme al RGPD aumentó drásticamente en junio de 2021, cuando el Comité Europeo de Protección de Datos (CEPD) y la Comisión Europea destacaron la pseudonimización conforme al RGPD como la medida técnica complementaria más avanzada para el uso lícito y continuo de datos personales de la UE al utilizar procesadores en la nube o proveedores de servicios remotos de terceros países (es decir, fuera de la UE) en virtud de la sentencia «Schrems II» del TJUE. ^{[ 6 ]} Conforme al RGPD y a la Guía Schrems II final del CEPD, ^{[ 7 ]} el término pseudonimización requiere un nuevo «estado» protegido de los datos, que produce un resultado protegido que:

1. Protege los identificadores directos, indirectos y cuasi-identificadores, junto con las características y los comportamientos;
2. Protege a nivel de registro y conjunto de datos, en lugar de solo a nivel de campo, de modo que la protección se extiende a dondequiera que vayan los datos, incluso cuando están en uso; y
3. Protege contra la reidentificación no autorizada mediante el efecto mosaico, generando altos niveles de entropía (incertidumbre) al asignar dinámicamente diferentes tokens en diferentes momentos para diversos fines.

La combinación de estas protecciones es necesaria para evitar la reidentificación de los interesados ​​sin el uso de información adicional conservada por separado, tal como lo exige el artículo 4(5) del RGPD y como lo subraya además el párrafo 85(4) de la guía final Schrems II del CEPD:

• El artículo 4(5) «Definiciones» del RGPD define la seudonimización como «el tratamiento de datos personales de forma que estos ya no puedan atribuirse a un interesado concreto sin utilizar información adicional, siempre que dicha información adicional se conserve por separado y esté sujeta a medidas técnicas y organizativas que garanticen que los datos personales no se atribuyan a una persona física identificada o identificable ». ^{[ 8 ]}
• « Caso de uso 2: Transferencia de datos seudonimizados. El apartado 85(4)» de la Guía Schrems II final del CEPD exige que «el responsable del tratamiento haya establecido, mediante un análisis exhaustivo de los datos en cuestión —teniendo en cuenta cualquier información que se prevea que posean y utilicen las autoridades públicas del país receptor—, que los datos personales seudonimizados no pueden atribuirse a una persona física identificada o identificable, incluso si se cotejan con dicha información». ^{[ 7 ]}

La pseudonimización conforme al RGPD exige que los datos sean «anónimos» en el sentido más estricto de la UE —globalmente anónimos—, salvo la información adicional que se conserve por separado y se ponga a disposición en condiciones controladas, según lo autorizado por el responsable del tratamiento, para la reidentificación permitida de los interesados. La cláusula 18, módulo cuatro, nota a pie de página 2 de la Decisión de Ejecución (UE) 2021/914, adoptada por la Comisión Europea, «exige que los datos se anonimicen de tal forma que el individuo ya no pueda ser identificado por nadie, de conformidad con el considerando 26 del Reglamento (UE) 2016/679, y que este proceso sea irreversible». ^{[ 3 ]}

Antes del fallo Schrems II, la pseudonimización era una técnica utilizada por expertos en seguridad o funcionarios gubernamentales para ocultar información personal identificable y así mantener la estructura y la privacidad de los datos . Algunos ejemplos comunes de información sensible incluyen el código postal, la ubicación, los nombres, la raza y el género de las personas, entre otros.

Tras la sentencia Schrems II, la pseudonimización conforme al RGPD debe satisfacer los elementos mencionados anteriormente como un "resultado" y no simplemente como una técnica.

La elección de qué campos de datos se van a pseudonimizar es en parte subjetiva. A menudo se incluyen campos menos específicos, como la fecha de nacimiento o el código postal, ya que suelen estar disponibles en otras fuentes y, por lo tanto, facilitan la identificación de un registro. La pseudonimización de estos campos menos identificativos elimina gran parte de su valor analítico y, por consiguiente, suele ir acompañada de la introducción de nuevas formas derivadas y menos identificativas, como el año de nacimiento o una región de código postal más amplia.

Los campos de datos menos identificativos, como la fecha de asistencia, generalmente no se pseudonimizan. Esto se debe a que se pierde demasiada utilidad estadística al hacerlo, no a que los datos no puedan identificarse. Por ejemplo, conociendo de antemano algunas fechas de asistencia, es fácil identificar los datos de una persona en un conjunto de datos pseudonimizados seleccionando solo a aquellas personas con ese patrón de fechas. Este es un ejemplo de ataque de inferencia .

La vulnerabilidad de los datos seudonimizados anteriores al RGPD ante los ataques de inferencia suele pasarse por alto. Un ejemplo conocido es el escándalo de los datos de búsqueda de AOL . El caso de AOL, donde la reidentificación no autorizada era posible, no requería acceso a información adicional almacenada por separado y bajo el control del responsable del tratamiento de datos, como sí se exige ahora para la seudonimización conforme al RGPD, tal como se describe más adelante en la sección «Nueva definición de seudonimización según el RGPD».

Para proteger los datos pseudonimizados estadísticamente útiles de la reidentificación se requiere:

1. una base sólida de seguridad de la información
2. controlar el riesgo de que los analistas, investigadores u otros trabajadores de datos provoquen una violación de la privacidad

El seudónimo permite rastrear los datos hasta su origen, lo que distingue la pseudonimización de la anonimización ^{[ 9 ],} donde se eliminan todos los datos personales que podrían permitir el rastreo. La pseudonimización es un problema, por ejemplo, en el caso de los datos de pacientes que deben transmitirse de forma segura entre centros clínicos.

La aplicación de la pseudonimización a la salud electrónica pretende preservar la privacidad del paciente y la confidencialidad de los datos . Permite el uso primario de los registros médicos por parte de proveedores de atención médica autorizados y el uso secundario que preserva la privacidad por parte de investigadores. ^{[ 10 ]} En los EE. UU., HIPAA proporciona directrices sobre cómo deben manejarse los datos de atención médica y la desidentificación o pseudonimización de datos es una forma de simplificar el cumplimiento de HIPAA. ^{[ 11 ]} Sin embargo, la pseudonimización simple para la preservación de la privacidad a menudo alcanza sus límites cuando se trata de datos genéticos (véase también privacidad genética ). Debido a la naturaleza identificativa de los datos genéticos, la despersonalización a menudo no es suficiente para ocultar a la persona correspondiente. Las posibles soluciones son la combinación de pseudonimización con fragmentación y cifrado .

Un ejemplo de aplicación del procedimiento de pseudonimización es la creación de conjuntos de datos para la investigación de desidentificación mediante la sustitución de palabras de identificación por palabras de la misma categoría (por ejemplo, sustituir un nombre por un nombre aleatorio del diccionario de nombres), ^{[ 12 ] [ 13 ] [ 14 ]} sin embargo, en este caso, en general, no es posible rastrear los datos hasta sus orígenes.

En vigor desde el 25 de mayo de 2018, el Reglamento General de Protección de Datos (RGPD) de la UE define la pseudonimización por primera vez a nivel de la UE en el artículo 4(5). Según los requisitos de definición del artículo 4(5), los datos se pseudonimizan si no pueden atribuirse a un interesado específico sin el uso de "información adicional" conservada por separado. Los datos pseudonimizados representan el estado del arte en la protección de datos desde el diseño y por defecto ^{[ 15 ]} porque requieren la protección tanto de los identificadores directos como indirectos (no solo directos). Los principios de protección de datos desde el diseño y por defecto del RGPD, tal como se incorporan en la pseudonimización, requieren la protección de los identificadores directos e indirectos para que los datos personales no sean referenciables (o reidentificables) mediante el "efecto mosaico" ^{[ 16 ]} sin acceso a la "información adicional" que el responsable del tratamiento conserva por separado. Dado que para la reidentificación se requiere acceso a "información adicional" que se conserva por separado, el responsable del tratamiento puede limitar la atribución de datos a un interesado específico únicamente para fines legítimos.

El artículo 25(1) del RGPD identifica la seudonimización como una " medida técnica y organizativa apropiada " y el artículo 25(2) exige a los responsables del tratamiento que:

«...implementar medidas técnicas y organizativas adecuadas para garantizar que, por defecto, solo se traten los datos personales necesarios para cada finalidad específica del tratamiento. Esta obligación se aplica a la cantidad de datos personales recogidos, al alcance de su tratamiento, al período de su almacenamiento y a su accesibilidad. En particular, dichas medidas deberán garantizar que, por defecto, los datos personales no sean accesibles a un número indeterminado de personas físicas sin la intervención del interesado.»

Un aspecto fundamental de la protección de datos desde el diseño y por defecto, según el artículo 25 del RGPD, es la aplicación de controles tecnológicos que respalden los usos adecuados y la capacidad de cumplir las promesas. Tecnologías como la seudonimización, que refuerzan la protección de datos desde el diseño y por defecto, demuestran a los interesados ​​que, además de idear nuevas formas de obtener valor de los datos, las organizaciones están adoptando enfoques técnicos igualmente innovadores para proteger la privacidad de los datos, un tema especialmente delicado y de actualidad dada la epidemia de filtraciones de datos a nivel mundial.

Sectores de actividad económica dinámicos y en auge —como la «economía de la confianza», la investigación en ciencias de la vida, la medicina y la educación personalizadas, el Internet de las Cosas y la personalización de bienes y servicios— se basan en la confianza que las personas depositan en que sus datos son privados, están protegidos y se utilizan únicamente para fines apropiados que les aporten el máximo valor, tanto a ellas como a la sociedad. Esta confianza no puede mantenerse con enfoques obsoletos de protección de datos. La seudonimización, tal como se define en el RGPD, es un medio para contribuir a lograr la protección de datos desde el diseño y por defecto, con el fin de ganar y mantener la confianza y servir de manera más eficaz a empresas, investigadores, profesionales sanitarios y a todos aquellos que dependen de la integridad de los datos.

La pseudonimización conforme al RGPD no solo permite un uso de datos más respetuoso con la privacidad en el mundo del " big data " de intercambio y combinación de datos, sino que también permite a los responsables y encargados del tratamiento de datos obtener beneficios explícitos en virtud del RGPD para los datos correctamente pseudonimizados. Los beneficios de los datos debidamente pseudonimizados se destacan en varios artículos del RGPD, entre ellos:

• El artículo 6(4) como salvaguarda para ayudar a garantizar la compatibilidad del nuevo procesamiento de datos.
• El artículo 25 como medida técnica y organizativa para ayudar a aplicar los principios de minimización de datos y el cumplimiento de las obligaciones de protección de datos desde el diseño y por defecto.
• Los artículos 32, 33 y 34, como medida de seguridad, contribuyen a que las filtraciones de datos "no supongan un riesgo para los derechos y libertades de las personas físicas", reduciendo así la responsabilidad y las obligaciones de notificación en caso de filtraciones de datos.
• El artículo 89(1) como salvaguardia en relación con el procesamiento para fines de archivo en interés público; fines de investigación científica o histórica; o fines estadísticos; además, los beneficios de la seudonimización según el artículo 89(1) también brindan mayor flexibilidad en los siguientes casos:
  1. Artículo 5(1)(b) con respecto a la limitación de la finalidad;
  2. Artículo 5(1)(e) con respecto a la limitación de almacenamiento; y
  3. Artículo 9(2)(j) con respecto a la superación de la prohibición general del tratamiento de categorías especiales de datos personales del artículo 9(1).
• Además, en el Dictamen 06/2014 del Grupo de Trabajo del Artículo 29 se reconoce que los datos debidamente anonimizados desempeñan «…un papel en la evaluación del impacto potencial del tratamiento sobre el interesado… que inclina la balanza a favor del responsable del tratamiento» para ayudar a respaldar el tratamiento basado en el interés legítimo como base jurídica en virtud del artículo 6(1)(f) del RGPD. Entre los beneficios del tratamiento de datos personales mediante el interés legítimo con anonimización como base jurídica en virtud del RGPD se incluyen, entre otros:
  1. Conforme al artículo 17(1)(c), si un responsable del tratamiento de datos demuestra que "tiene motivos legítimos imperiosos para el tratamiento" respaldados por medidas técnicas y organizativas para satisfacer la prueba de ponderación de intereses, tendrá mayor flexibilidad para cumplir con las solicitudes del derecho al olvido .
  2. Conforme al artículo 18(1)(d), un responsable del tratamiento de datos tiene flexibilidad para cumplir con las solicitudes de restricción del tratamiento de datos personales si puede demostrar que cuenta con medidas técnicas y organizativas para que los derechos del responsable del tratamiento de datos prevalezcan adecuadamente sobre los del interesado porque los derechos de los interesados ​​están protegidos.
  3. Conforme al artículo 20(1), los responsables del tratamiento de datos que utilicen el tratamiento basado en un interés legítimo no están sujetos al derecho de portabilidad, que se aplica únicamente al tratamiento basado en el consentimiento.
  4. Conforme al artículo 21(1), un responsable del tratamiento de datos que utilice el tratamiento basado en un interés legítimo podrá demostrar que dispone de medidas técnicas y organizativas adecuadas para que los derechos del responsable del tratamiento prevalezcan sobre los del interesado, dado que los derechos de este último están protegidos; sin embargo, los interesados ​​siempre tienen derecho, en virtud del artículo 21(3), a no recibir comunicaciones de marketing directo como resultado de dicho tratamiento.

• Sistema de información clínica
• Enmascaramiento de datos dinámico
• FLAIM
• Privacidad
• reidentificación de datos